Os ataques de phishing são a ameaça de segurança cibernética mais prevalente no mundo digital, tornando-se uma preocupação crítica para indivíduos e para organizações.

Em 2023 foram vitimizados mais de 4,75 milhões de utilizadores, o que representa um aumento de 58,2% em relação ao ano anterior. Face a esta tendência preocupante, este artigo fornece algumas dicas para evitar que seja vítima destes ataques.

O que são ataques de phishing?

O phishing é um ciberataque em que os hackers, identificando-se como identidades de confiança, induzem-no a partilhar dados sensíveis.

O adversário faz-se passar por uma entidade legítima – um indivíduo ou uma organização (por exemplo, uma instituição financeira) – para convencer o utilizador a tomar as medidas desejadas.

Podem também induzi-lo a instalar malware malicioso no seu computador ou no seu dispositivo para roubar dados sensíveis ou dinheiro.

As pessoas por detrás destas campanhas vão desde hackers individuais a cibercriminosos organizados.

Devido à facilidade e disponibilidade de kits de ferramentas de phishing, mesmo os hackers com competências técnicas mínimas podem lançar campanhas de phishing.

Estes ataques podem ter origem em qualquer lugar e os atacantes podem utilizar vários tipos de técnicas de ataque de phishing. Normalmente incluem engenharia social, manipulação de ligações, phishing de voz, LNK phishing, Spear phishing, Clone phishing, entre outros.

Motivos para o phishing

Os ataques de phishing são uma ameaça há muitos anos. Antes o phishing era motivado essencialmente por ganhos financeiros, por roubo de identidade e por notoriedade – qualquer amador com uma conta roubada gabava-se das suas conquistas..

Atualmente, a prática surge como uma das práticas com mais destaque no ecossistema do cibercrime, motivada apenas por ganhos financeiros. 

Sublinhamos as estatísticas de phishing mais recentes:

• De todas as violações de segurança, 36% começam com um ataque de phishing.
• Mais de 80% de todas as organizações empresariais a nível mundial comunicaram tentativas de phishing dirigidas aos seus funcionários.
• Os ataques de phishing não são incidentes de segurança que ocorrem apenas uma vez. O ataque de phishing mais dispendioso comprometeu milhares de e-mails e causou um prejuízo financeiro de 1,8 mil milhões de dólares.
• Todos os dias são enviados 3,4 mil milhões de e-mails de phishing. A maioria destes e-mails são automatizados e dirigidos a um grande público sem grande contexto.

Principais desafios para indivíduos e organizações

A defesa contra as tentativas de phishing tem sido um grande desafio tanto para as organizações empresariais, como para os utilizadores da Internet devidamente conscientes da ameaça à segurança.

Na verdade, os utilizadores são frequentemente informados e educados para melhorarem a sua sensibilização para a segurança. Também as empresas de tecnologia incorporam funcionalidades de segurança nos seus sistemas.

No entanto, de alguma forma, a engenharia social continua a ter êxito em comprometer o elemento humano. Isto deve-se aos seguintes desafios:

Educação do utilizador

Os utilizadores da Internet com menos conhecimentos técnicos são mais susceptíveis de serem vítimas de ataques de phishing.

Desta forma, é essencial que adotem uma abordagem crítica em relação a mensagens de correio eletrónico de phishing que pareçam demasiado boas para serem verdadeiras e evitar clicar em ligações suspeitas ou descarregar anexos.

Além disso, as instalações de malware são invisíveis, passando despercebidas ao radar dos antivírus e atuando em modo furtivo. Os sítios Web que roubam informações dos utilizadores são incrivelmente enganosos e fazem-se passar por empresas legítimas.

Fator humano

Os mecanismos de segurança, como a autenticação e os alertas de segurança, continuam a depender do comportamento e dos conhecimentos humanos.

Políticas de segurança e flexibilidade

As organizações empresariais devem ser flexíveis na aplicação de políticas de segurança:

• Protocolos de governação rígidos significam que os utilizadores têm uma flexibilidade limitada no acesso à rede e na partilha de dados, que podem ser críticos para os seus trabalhos de rotina.
• Se as regras de controle de acesso forem demasiado flexíveis, qualquer pessoa com credenciais de início de sessão de funcionários ou utilizadores internos desonestos pode divulgar informações comerciais sensíveis.

Portanto, sem um plano ideal para gerir os controlos de identidade e acesso, qualquer utilizador com privilégios de acesso suficientes que seja vítima de uma tentativa de phishing pode causar danos significativos à organização.

Proteção contra phishing

A proteção contra o phishing envolve o reforço da sensibilização para a segurança, a utilização da autenticação multifactor e a adaptação da governação da segurança às necessidades da organização.

Então, como é que se protege contra o phishing?

• Melhorando a sensibilização para a segurança entre os utilizadores da Internet através de programas obrigatórios de formação e educação.
• Utilizando mecanismos de segurança que assentem em sistemas de autenticação multifactor infalíveis.
• Adotando políticas de governação da segurança com base nas necessidades específicas dos seus utilizadores e nas ameaças à segurança que a sua organização enfrenta.
• Utilizando controlos anti-spoofing para evitar a falsificação de e-mails, chamadas telefónicas, servidores do Sistema de Nomes de Domínio (DNS) e endereços IP.
• Utilizando sempre dispositivos suportados e software atualizado com os patches mais recentes para evitar que os utilizadores instalem malware.
• Desenvolvendo um plano de resposta a incidentes de phishing que o ajudará a minimizar os ataques e a reagir rapidamente a potenciais ataques.
• Acompanhando pesquisas de segurança especializadas, como monitoramento de cargas úteis de phishing e ataques de phishing GSuite da equipe de pesquisa de ameaças da Splunk.

Uma estratégia correcta de cibersegurança pode ajudá-lo a proteger-se contra o phishing e, nós homeostase, estamos disponíveis para esclarecer todas as dúvidas sobre este tema.

Fonte: aqui.